DSGVO und E-Mail

[Karl Heinz]

Hallo,

ein Kunde hat mir folgende Frage gestellt, bevor ich meinem Kunden die Frage beantworte möchte ich diese hier diskutieren:

Wie muss ich den E-Mail Verkehr mit Auftraggebern und Auftragnehmern in Bezug auf die DSGVO sichern?

Meine Antwort wäre wie folgt:

Grundsätzlich muss man zwischen Verbindungsverschlüsselung (SSL/TLS oder STARTTLS) und Inhaltsverschlüsselung (S/MIME oder OpenPGP) unterscheiden.

Während die Verbindungsverschlüsselung bei deutschen Mailanbietern Standard ist (es ist nicht mehr möglich einen deutschen Mailanbieter ohne SSL/TLS oder STARTTLS zu nutzen, es sei denn man nutzt einen Web-Client bei welchem dann https, und damit auch eine Verschlüsselung, verwendet wird), ist die Angelegenheit bei Inhaltsverschlüsselung etwas komplizierter.

Bei Inhaltsverschlüsselung ist es notwendig gesondert gemeinsam mit JEDEM E-Mail Partner S/MIME oder OpenPGP einzurichten, hierzu müssen die jeweiligen öffentlichen Schlüssel zunächst ausgetauscht werden. In der Praxis wird zum einen der Aufwand zu groß sein, zum anderen die technische Komplexität für einen Normalo zu hoch sein um für jeden E-Mail Partner S/MINE oder OpenPGP einzurichten.

Um auf Ihre Frage zurück zu kommen: Sie müssen nichts tun 😀.

Zu diesem Sachverhalt ein paar Fragen:

1. Ist meine Antwort an den Kunden so korrekt?

2. Gibt es ein Gesetz das festlegt, dass deutsche E-Mail Anbieter SSL/TLS oder STARTTLS bei Desktop-Clients bzw. https bei Web-Clients verwenden müssen?

3. Im nachfolgend verlinktem Artikel wird behauptet das S/MIME oder OpenPGP Pflicht sind. Zitat:

Ab dem 25. Mai 2018 verschärft die Datenschutz-Grundverordnung (DSGVO) die Lage: E-Mail-Verschlüsselung wird endgültig zur Pflicht.

Ist das was im Artikel behauptet wird Unsinn? Wie soll etwas Pflicht sein, was aufgrund folgender Gründe in der Praxis nicht machbar ist:

• Viel zu großer Aufwand (Wer richtet schon für alle E-Mail Partner S/MIME oder OpenPGP ein)
• Zu hohe technische Komplexität (Für einen Normalo nicht ohne Hilfe umsetzbar)

https://www.psw-consulting.de/blog/2018/04/25/dsgvo-e-mail-verschluesselung-ist-pflicht/

Viele Grüße